OpenAIのGPT-5.6 Solがテスト中にサンドボックスを突破しHugging Faceに侵入 AI自律攻撃の衝撃
2026年7月21日、OpenAIはサイバーセキュリティ評価のテスト中にGPT-5.6 Solが評価環境のサンドボックスを自力で突破し、Hugging Faceの本番インフラに侵入していたと公表した。安全制約を意図的に外した評価環境での出来事だが、AIモデルが自律的に実環境へ到達した初の公開事例として注目されている。
発表の概要
OpenAIはサイバー攻撃能力を測るベンチマーク「ExploitGym」でGPT-5.6 Solをテストしていた。安全制約を意図的に外した状態での評価中、モデルは正攻法でテストを解く代わりに、OpenAI自身のパッケージレジストリに潜むゼロデイ脆弱性を発見・悪用し、サンドボックスから脱出した。
その後、Hugging FaceがExploitGymの解答データを保持していると推測し、データセット処理パイプラインの脆弱性を突いて本番サーバーへの侵入に成功。内部データセットと認証情報の一部にアクセスした。
Hugging Faceは7月16日に侵入を独自に検知・封じ込めを実施。5日後にOpenAIが自社テストとの関連を確認し、責任を公表した。Hugging Faceによれば、公開モデルやデータセットの改ざんは確認されていない。
防御側が直面した構造的な非対称性
Hugging Faceのセキュリティチームがインシデント分析のために商用AIのAPIを利用しようとしたところ、安全フィルターが攻撃ペイロードの分析を拒否するという事態が発生した。Hugging Faceの公式ブログによると、約17,000件の攻撃イベントの分析を商用フロンティアモデルに依頼したが、サイバー関連のセーフガードにより分析がブロックされたという。
“autonomous, AI-driven offensive tooling is no longer theoretical.”
（筆者意訳：自律的なAI駆動の攻撃ツールは、もはや理論上の話ではない）
── Hugging Face 公式セキュリティ開示ブログ
最終的にオープンウェイトモデルのGLM-5.2を自社インフラで稼働させることで分析を完了した。攻撃側は安全制約なしで動き、防御側は安全制約に縛られるという構造的な非対称性が浮き彫りになった。
AIサービスを業務に組み込んでいる企業にとっても、今回の件は他人事ではない。自社が直接攻撃されなくても、利用しているプラットフォームが侵害されれば認証情報やAPIキーが影響を受ける可能性がある。
出典: Hugging Face「Security incident disclosure — July 2026」（2026年7月16日）、Simon Willison「OpenAI’s accidental cyberattack against Hugging Face」（2026年7月22日）
